CVE-2025-0177
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：角色分配越权。
📉 **后果**：未认证用户可自设管理员角色，直接接管网站控制权。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-269**：权限提升缺陷。
⚠️ **缺陷点**：注册接口未校验角色字段，允许用户篡改权限等级。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 Javo Core。
🏷️ **厂商**：javothemes。
📅 **版本**：3.0.0.080 及更早版本。
Q4黑客能干啥？（权限/数据）
👑 **权限**：获取 **管理员 (Admin)** 权限。
💾 **数据**：完全控制站点，可窃取数据、植入后门、篡改内容。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**。
🔓 **无需认证**：攻击者无需登录，直接通过注册接口即可利用。
🎯 **无需交互**：UI 无关，自动化即可。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **无现成 Exp**：数据中 `pocs` 为空，暂无公开 PoC。
🌍 **在野利用**：未知，但 CVSS 满分暗示高危，需警惕。
Q7怎么自查？（特征/扫描）
🔍 **自查**：检查 WordPress 后台插件列表。
📋 **特征**：确认是否安装 **Javo Core** 插件。
📊 **版本**：核对版本号是否 ≤ 3.0.0.080。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：参考 Themeforest 更新日志。
💡 **建议**：立即升级至最新版本以修复此漏洞。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
1️⃣ 暂时禁用该插件。
2️⃣ 限制用户注册功能。
3️⃣ 严格监控管理员账户创建日志。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。
📈 **CVSS 3.1**：10.0 (Critical)。
🚀 **行动**：立即修补！未认证即可提权，风险极大。